PRINCE — блочный шифр с малой задержкой при аппаратной реализации (размер блока 64 бита, ключ 128 бит). Особенностью шифра является «α-отражение» (дешифрование выполняется, повторно используя процесс шифрования с немного изменённым ключом). Шифр происходит от алгоритмов AES и Present.

Шифр представлен в 2012 году на . Разработчики: Julia Borghoff, , Lars R. Knudsen, Gregor Leander, Christan Rechberger, Soeren S. Thomsen, Elif Bilge Kavun, Tolga Yalcin, Tim Güneysu, Christof Paar, Miroslav Knezevic, Ventzi Nikov, Peter Rombouts.

Характеристики Основан на SP-сети с двенадцатью раундами. PRINCE относится к категории легковесных шифров. На это указывает его небольшой размер реализации, требуемые ресурсы (объём памяти или регистров для хранения данных и промежуточного состояния), сложность реализации (типы необходимых операций и размер операндов), энергия, необходимая для выполнения операций безопасности. Также шифр имеет небольшие размеры блоков (64 бит), что характерно для легковесных шифров. Это может уменьшить размер сообщения для коротких пересылок из-за меньшего заполнения. Но с другой стороны, количество данных, которые можно защитить с помощью данного ключа, будет намного меньше по сравнению, например, с AES. Короткий ключ 128 бит снижает надёжность обеспечиваемой защиты и сокращает срок службы используемого ключа.

Описание алгоритма шифрования Шифр представляет собой SP-сеть, которая имеет 12 раундов. 64-битное состояние можно рассматривать как массив 4×4 полубайтов, но в реализациях состояние рассматривается как массив из 16 полубайтов. Каждая функция раунда , включает в себя: уровень S-блока (обозначенный ), линейный слой (), операцию сложения ключей и добавление константы раунда (). Все операции также нуждаются в реализации своих обратных операций, которые используются в последних шести раундах.

Ключевое расписание 128-битный ключ делится на две части: и . используется для генерации другого ключа: . Ключи и используются в качестве клавиш до и после отбеливания, то есть добавляются исключающие «ИЛИ» к состоянию до и после выполнения всех циклических функций. Раундовый ключ одинаковый для всех раундов и также добавляется с помощью операции исключающее «ИЛИ» на этапе добавления ключа.

Раундовая константа В шифре константы для каждого (номер раунда) различаются. Примечательным свойством раундовых констант является то, что . Складывание констант раунда является двоичным сложением, как и добавление раундового ключа. Эти две операции можно объединить.

S-блок Уровень S-блок использует преобразование, которое принимает на входе 4 бит и возвращает 4 бит, как определено в следующей таблице. 0123456789ABCDEFBF32AC916780E5D4

Линейный слой На слоях и 64-битное состояние умножается на матрицу 64×64 (соответственно ), определённую ниже. К двум линейным слоям разные требования. Слой используется только в среднем раунде, поэтому слой должен быть инволюцией, чтобы гарантировать свойство -отражения. Это требование не применяется к -уровню, используемому в функциях раунда. Здесь обеспечивается полное распространение после двух раундов. Для этого комбинируется -отображение с применением матрицы , которое ведёт себя как строки сдвига AES и переставляет 16 полубайтов следующим образом: 01234567891011121314150510154914381327121611 То есть .

Для того, чтобы минимизировать затраты на реализацию, количество единиц в матрицах и должно быть минимальным. В то же время необходимо, чтобы хотя бы 16 S-блока были активны в четырёх последовательных раундах. Таким образом, каждый выходной бит S-блока должен влиять на 3 S-блока в следующем раунде, и поэтому минимальное количество единиц в строке и столбце равно 3. Этим условиям соответствуют следующие четыре матрицы 4×4 в качестве строительных блоков для -слоя.

На следующем шаге генерируется блочная матрица 4×4, где каждая строка и столбец являются перестановкой матриц . Комбинации выбираются таким образом, чтобы получалась симметричная блочная матрица. Выбор строительных блоков и симметричной структуры гарантирует, что результирующая матрица 16×16 будет инволюцией:

Чтобы получить перестановку для полного 64-битного состояния, строится блочная диагональная матрица размером 64×64 с в качестве диагональных блоков.

Сравнение с AES Хотя AES имеет 10 раундов при использовании 128-битного ключа, раунды в PRINCE проще в реализации. Аппаратно легко объединить раунды, чтобы уменьшить задержку и добиться лучшей производительности по сравнению с AES. Это обеспечивает отбеливание непосредственно в самом блочном шифре, чего не хватает AES. Ключевое расписание в PRINCE также гораздо проще, чем у AES. +Сравнение производительности PRINCE и AES ()Площадь чипа ()Частота (МГц)Мощность (мВт)PRINCE3779666.75.7AES-12815880250.05.8

Криптоанализ Особенность шифра PRINCE заключающаяся в том, что можно выполнить дешифрование, повторно используя процесс шифрования с немного изменённым ключом. Эта возможность, которую назвали свойством α-отражения, явно обеспечивает преимущество в реализациях, требующих как шифрования, так и дешифрования. Но в то же время вынудила разработчиков снизить ожидания безопасности по сравнению с идеальным шифром. Они заявили, что безопасность шифра обеспечивается до операций при выполнении запросов на шифрование/дешифрование. Эта граница указана только для модели с одним ключом, и авторы не сделали никаких заявлений относительно модели связанных ключей.

Чтобы стимулировать интерес к криптоанализу шифра PRINCE разработчики устроили открытый конкурс «THE PRINCE CHALLENGE».

Метод встречи посередине

Атака была представлена в 2015 году в рамках конкурса. Создатели обнаружили, что подходы, основанные на методе встречи посередине и SAT могут привести к практическим атакам в половине раундов. Реализованные атаки были признаны лучшими для 4, 6 и 8 раундов. Кроме того, в ходе исследований PRINCE была обнаружена новая атака на 10 раундов, которая имеет сложность данных выбранных открытых текстов.

Интегральный криптоанализ

Pawel Morawiecki в 2017 году представил несколько новых атак на PRINCE с уменьшенным количеством раундов (до 7 раундов). Он сосредоточился на практических атаках, большинство из которых реализованы и проверены на одном ПК. Такой анализ должен помочь оценить запас безопасности шифра, особенно в отношении реальных сценариев и потенциального развёртывания алгоритма. Используя интегральный криптоанализ, ему удалось достичь 6 раундов с низкой сложностью данных (время — , количество открытых текстов — ). Так же была проведена 7-раундовая атака с помощью дифференциального криптоанализа более высокого порядка (время — , количество открытых текстов — ).

Атака методом бумеранга

Криптоанализ блочного шифра PRINCE основан на некоторых типах атаки методом бумеранга (для 4, 5 и 6 раундов), таких как бумеранг со связанными ключами и бумеранг с одним ключом для выбранной раундовой константы. Количество открытых текстов и временная сложность атак малы, чтобы их можно было рассматривать как практические атаки (оба показателя меньше, чем ).

Ссылки

Литература

Примечания

Категория:Криптография Категория:Блочные шифры